Auditoria de segurança Wi-Fi

Uma auditoria de rádio não é uma ferramenta apontada para uma rede que devolve um relatório: são quatro medições em sequência, cada uma com um produto diferente e um tempo de execução diferente. As três primeiras são somente leitura e, na maior parte das unidades, podem ser feitas em horário comercial. A quarta muda o comportamento dos dispositivos e exige uma janela acordada e alguém localizável por telefone.

A primeira passagem é o inventário. Percorremos a unidade e registramos cada BSSID ao alcance: as redes de vocês, a do vizinho, a impressora do depósito, o rádio de uma sala de reuniões onde ninguém entra desde a mudança. Depois comparamos o que observamos com a lista de pontos de acesso que vocês acreditam possuir. A comparação é o resultado, não a varredura: um escritório com 120 pessoas e 28 pontos aprovados termina regularmente com 34 rádios transmitindo, e atrás de cada rádio extra existem um dono, um cabo e uma decisão de compra.

A segunda passagem é a autenticação por SSID. Registramos o método realmente negociado por cada classe de dispositivo, e não o configurado no controlador, porque os dois registros coincidem menos do que se supõe: uma rede corporativa definida em WPA3 no modo de transição ainda negocia WPA2 com um coletor de depósito, e uma rede 802.1X cujos clientes não validam o certificado do servidor coleta credenciais para qualquer um que anuncie o mesmo nome. A terceira passagem é a alcançabilidade: de cada SSID verificamos até onde chega de fato um dispositivo associado, hosts internos, portas, VLAN das impressoras, sub-rede de gerência e rede de convidados na direção inversa, e reportamos isso como matriz de alvos e portas testados em vez de adjetivo.

A quarta passagem é o comportamento do cliente: quais dispositivos gerenciados se associam a um SSID memorizado anunciado por outro BSSID e quais avisam o usuário antes de fazê-lo. É a única passagem que transmite algo da nossa parte, por isso ocorre na janela acordada e nunca alcança uma rede fora do perímetro, mesmo que o sinal dela seja mais forte que o de vocês.

A autorização é o primeiro entregável do trabalho, não um formulário que chega depois da fatura. Antes de ligar um adaptador trazemos um perímetro escrito: a pessoa jurídica titular da rede, as unidades e os andares no escopo, os SSID e BSSID autorizados por nome e não apenas por prédio, a janela de teste, quem pode parar o teste e as regras de tratamento dos dados coletados. Quem assina precisa poder autorizar a rede: um provedor de serviços gerenciados só contrata a auditoria da rede de um cliente com o consentimento escrito do cliente, por isso pedimos esse documento em vez de aceitar uma ordem de compra como prova.

O trabalho passivo vem primeiro: escutar não exige credencial nem associação e não interrompe serviço, então inventário e levantamento podem ser feitos em horário comercial sem chamar atenção. O trabalho ativo, da associação como cliente à prova de uma chave compartilhada contra material capturado, aos testes de alcançabilidade e a qualquer injeção de frames, acontece na janela acordada, de preferência fora do horário, porque as técnicas de desassociação desconectam dispositivos reais de um setor produtivo, e um coletor de depósito que perde a conexão no meio de uma separação é uma parada de operação, não um teste.

As condições de parada também são acordadas por escrito: um sistema crítico para a segurança precisa continuar associado, uma classe de dispositivos médicos não é tocada, um andar alugado está fora do perímetro porque é ocupado por outro inquilino. O engenheiro que executa leva essa lista consigo, e o relatório registra cada ação com o horário, para que uma desconexão inesperada do lado do cliente possa ser atribuída ao teste ou excluída com prova.

Cada achado no relatório nomeia a medição que o produziu, o ponto de onde foi medido e o artefato que o sustenta. Um achado sobre a chave compartilhada não é uma linha dizendo que a senha é fraca: é o método de captura, o custo de derivação, o espaço de chaves daquela classe de passphrase e a aritmética que mostra quanto dura uma busca completa a uma taxa de tentativas declarada. A distinção tem consequência comercial: uma chave que resiste a 232 anos de cálculo não é o achado, e o achado é que um único segredo compartilhado está na mão de todo mundo que se conectou desde 2019 e não pode ser trocado sem tocar em cada dispositivo.

Um achado de segmentação é uma linha de matriz, não uma afirmação: da rede de convidados três impressoras de três testadas responderam na rede corporativa, ou seja, o isolamento de convidados é política escrita e não controle aplicado. Um achado sobre ponto de acesso não autorizado nomeia a porta do switch, o consumo PoE e o OUI que ligam o rádio ao cabo, porque um transmissor que ouvimos e não conseguimos localizar é uma fotografia, não um achado. Um achado sobre comportamento de clientes nomeia a classe de dispositivo, a versão do sistema e a configuração que permitiu a associação a uma rede sósia.

Todo achado também traz um responsável e uma correção verificável de fora da rede. A remoção de um ponto de acesso não autorizado se verifica com um segundo levantamento. A distribuição de um perfil de certificado se verifica lendo a configuração do suplicante no dispositivo, e não confiando que o perfil chegou. A troca de uma chave compartilhada se verifica constatando que a chave antiga não associa mais. Se uma correção não é verificável assim, escrevemos isso e propomos a verificação antes de aceitar o trabalho.

Uma avaliação de rádio não pode relatar o que não ouviu. Um ponto de acesso não autorizado ligado por duas horas num domingo e removido na terça não aparece no levantamento de terça; essa lacuna se fecha com o log de detecção do controlador e com monitoramento contínuo, que é outra compra. A avaliação é uma amostra do espaço de rádio num instante, e o relatório diz isso em vez de sugerir garantia contínua.

Também não vê através da criptografia moderna. Se a rede opera em WPA3 com frames de gestão protegidos e certificados por dispositivo, não existe ataque offline sobre a captura, e qualquer afirmação de decifrar o tráfego dos clientes numa rede assim configurada é descrição errada ou prova de que a configuração não era a que o controlador declara. O que se pode demonstrar numa rede dessas é alcançabilidade, comportamento dos clientes, higiene de credenciais e inventário, e é aí que costumam estar os achados reais.

Três exclusões pertencem ao relatório e não à conversa comercial: o lado cabeado além da correlação do ponto de acesso, a segurança física e o acesso à cablagem, e a cadeia por trás dos próprios pontos de acesso, ou seja, a origem do firmware, a conta do controlador em nuvem e as credenciais de fábrica. A conta do controlador em nuvem merece menção explícita, porque hoje é um acesso administrativo exposto à internet que consegue empurrar configuração para todos os rádios da unidade, e obter essa conta é um caminho mais rápido para um SSID não autorizado do que qualquer técnica de rádio descrita aqui.

O trabalho de rádio fica mais perto do limite legal do que a maior parte do trabalho de segurança, porque o perímetro de rádio se estende por espaço que vocês não possuem. Cada trabalho se limita às redes que o cliente possui ou está autorizado por escrito a testar, e a autorização nomeia SSID e BSSID, não o edifício. Avaliar a rede do vizinho, a rede de gerência de um prédio compartilhado ou o wifi de uma sala de conferências fora do perímetro não está previsto por mais interessante que seja o sinal, e um levantamento que vê essas redes registra a observação e nada mais. A mesma regra decide o que pode ser um trabalho doméstico: uma rede de casa é avaliada quando quem contrata é titular da linha e do roteador, por exemplo um pai que revisa a segurança da própria rede familiar, e não é executada na rede de um parceiro, de um inquilino ou de um familiar adulto sem o consentimento dele.

O esforço é expresso em dias de engenharia e não em preço impresso numa página: uma unidade com um a cinco pontos de acesso e uma ou duas redes exige um a dois dias de um testador, um escritório em vários andares com autenticação corporativa e isolamento de convidados de três a cinco, e um campus com vários edifícios e IoT no escopo é planejado em torno das janelas de mudança em vez de prometido em número fixo de dias. Trabalho fora do horário e deslocamento acrescentam dias, e o reteste depois da correção é estimado à parte, para que o teste de aceitação tenha custo conhecido antes do primeiro levantamento.